Validación de entradas - inyección de comandos

Clase 24 de 35 • Curso de Análisis de Vulnerabilidades Web con OWASP 2017

José Antonio Ruiz Cruz

student•

No es necesario poner siempre una IP seguida de ; Podemos ejecutar "|| <comando>" Así mismo, como aclaración "/etc/passwd" no almacena los hashes del password de los usuarios, el archivo encargado de ello es "/etc/shadow". En conjunto, Passwd y Shadow almacenan la información necesaria para la autenticación de los usuarios en el sistema operativo. Lamentablemente hay varias inconsistencias en este curso. Desafortunadamente, varios de los compañeros principiantes confían en lo que dice el profesor (porque se supone que es confiable). También es verdad que he aprendido cosas nuevas, me quedaré con lo bueno.

Alexis Gordillo Alvarez

student•

En el video anterior a éste llamado Manejo de archivos - remote files inclusion se indicó que en el siguiente video (o sea éste) veriamos como cambiar los permisos del ususario platzi para ejecutar el backdoor. ¿En que momento se realizó esto? porque no lo encuentro en éste video.

Daniken Espinoza

student•

Hola Alexis, creo entender que dijo mas adelante, no necesariamente en el siguiente, asumo que es para dar mayor fluides al curso sin salir del temario.

Diego Edmundo Goncalvez

student•

Hola. Como practica quiero ingresar la siguiente cadena: '1 or 1=1 -- y no pasa nda. Que estare haciendo mal ?

Johan Andrés Mateus Lamprea

student•

Hola, así debería funcionar:

' or 1=1 -- -

Karen Mildred Vargas Buendía

student•

Como sugerencia para poder realizar los ejercicios con upload files, se debe cambiar la seguridad en la aplicación dvwa. La opción se llama DVWA SECURITY, cambiar a LOW y darle clic al botón SUBMIT.

Alejandra Becerril Lopez

student•

Inyección Remota de Comandos OS como podemos atacar este tipo de inyecciones? es decir, como ejemplificar a un desarrollador externo lo pueda aplicar en su propio desarrollo?

Martín Villa de Dios

student•

Las inyecciones de código son simples lineas de código(por ejemplo: consultas SQL, Scripts, etc) que pueden introducirse en formularios o determinados campos, cuando no se impide la entrada de determinados caracteres específicos de un lenguaje y se procesan como código. Creo que tenías un poco difuso el concepto de inyecciones. Saludos.

Cursos IdeaDual

student•

Los comandos OS son lo que se usan en las terminales (o algunos las conocen como shell), aunque estos comandos no son los usados en xss, SQLi, etc... Estos tipos de ataques anteriores pueden conducir a inyección de comandos OS. Normalmente se les conoce como RCE (remote code execution)

Unos ejemplos de comandos OS (para linux) serian: ls cat pwd cd

Teniendo esto presente te respondo la pregunta: Puedes demostrar esa vulnerabilidad inyectando un "ls" al servidor y mostrando el resultado, el cual si la vulnerabilidad existe debería mostrar las carpetas y archivos alojados en el servidor. También pueden haber RCE blind, en este caso existe la inyección pero no se muestra el resultado así que para demostrar la vulnerabilidad puedes inyectar un "ping" a un host local (por ejemplo 127.0.0.1) pero que la respuesta de este ping se demore 10 segundos en llegar, la respuesta del servidor entonces se demorará lo que el comando se demore en procesar.

Samuel Paredes

student•

Alguien tiene alguna pagina web donde podemos encontrar mas recursos para mejorar nuestras técnicas de auditoria?

José Antonio Ruiz Cruz

student•

Esta pagina es bastante útil. https://www.hackthebox.eu/

Espero te sirva.

Sergy Lopez Moreno

student•

Complementando lo que dicen tambien puedes intentar TryToHackMe https://tryhackme.com/ o los challenges de SANS https://www.holidayhackchallenge.com/2018/story.html

Victor Soto

student•

que paso con el primer ping a 8.8.8.8 porque cambio a 127.0.0.1???

Diego Forero

Team Platzi•

No dio respuesta por ser una maquina virtual y no tenia salida a internet, por eso se hizo la prueba usando 127.0.0.1 que es la maquina virtual en si.

Eduardo Recinos

student•

Sí estás tratando de hacer todos los ejercicios y nada te funciona, recuerda ir al apartado de seguridad de DVWA, una vez dentro eliges la opción Low, submit y voila, puedes probar todos tus ejercicios.

Guillermo Contreras

student•

Al parecer la aplicación esta validada, a mi me aparece siempre independiente del comando “ERROR: You have entered an invalid IP.”

Alvin Sulca Vega

student•

debes cambiar el nivel de seguridad de la aplicacion, debes colocarlo en “low”, ve a security y cambialo

Pedro Salazar Sanchez

student•

al igual que en el video anterior donde esta validado el tipo de archivo para solo jpeg y png no dejandome subir el arhivo php aqui no me deja ingresar otra cosa que no sea una ip ya que me da un error que dice que que tengo que ingresar una ip valida

Carlos Lozano

teacher•

Hola, ¿podrías colocar una screenshot con el error y tu petición para entender el problema y apoyarte mejor?.

Saludos.

Alvin Sulca Vega

student•

hola imagino que tu aplicacion debe tener un nivel de seguridad alto, para que puedas hacer la prueba, es necesario cambiar la seguridad de la aplicacion y ponerla en “low” que se encuentra en “security” con eso ya podras subir cualquier archivo.

Validación de entradas - inyección de comandos

Introducción al curso

Aprende sobre Análisis de Vulnerabilidades Web con los cursos actualizados

Introducción al curso de análisis, detección y explotación de vulnerabilidades web

Funcionamiento de las aplicaciones Web

Funcionamiento de las aplicaciones Web

Peticiones Http

Clientes Web y Servidores

Metodologías para revisión de aplicaciones Web

Metodologías para la revisión de aplicaciones

HTTP Proxy

Entorno de desarrollo y herramientas a usar durante el curso

Instalación y configuración de las máquinas virtuales en Windows

Protocolos y tecnologías implicadas en el desarrollo Web

Conceptos fundamentales de protocolos y tecnologías implicadas en el desarrollo web

Metodos HTTP

Códigos de error HTTP

Proxy HTTP

Exploración de una aplicación web con NMAP

Exploración de una aplicación web con http Proxy

Metodología OWASP

Alcance y proceso

Tipos y diferencias entre pruebas de penetración

Controles compensatorios para mejorar la seguridad web

Metodología OWASP y Dominios

Dominios de seguridad

Autenticación

Manejo de sesiones

Manejo de archivos

Manejo de archivos - remote files inclusion

Validación de entradas - inyección de comandos

Validación de entradas - cross site scripting XSS

Cross Site Scripting XSS almacenado

Cross Site Scripting - XSS Sql Injection

Cross Site Scripting - XSS usando sql injection para obtener información desde la base de datos

Criptografía

Tutorial de instalación de Wireshark

Protección del canal de comunicación

Tutorial de instalación y configuración de Nessus

Gestión de configuraciones

Gestión de configuraciones - archivos y directorios sensibles y Cierre del curso

Contenido Bonus

Cómo ser un hacker o experto en seguridad informática